4、SELinux 策略定义、分发与差异化解析

SELinux 策略定义、分发与差异化解析

1. SELinux 策略基础

SELinux 策略通常围绕应用程序或应用程序集编写，一个完整的策略规则包含以下几个关键要素：
- 主体（Subject） ：执行操作的进程集合，例如标记为 httpd_t 类型的进程集。
- 目标资源或对象（Target Resource/Object） ：操作的目标，如标记为 http_port_t 类型的 TCP 套接字集。在参考策略风格中，这通常由函数名暗示。
- 操作或权限（Action/Permission） ：具体的操作，如绑定端口的操作（ name_bind ），同样在参考策略风格中由函数名暗示。
- 策略执行结果（Policy Enforcement Result） ：策略强制执行的结果，例如允许操作（ allow ）。

策略编写者通常会为每个应用程序或应用程序集创建三个文件：
- .te 文件 ：包含类型强制规则。
- .if 文件 ：包含接口和模板定义，类似于其他编程语言中的头文件，方便策略编写者使用新生成的策略规则来增强其他策略。
- .fc 文件 ：包含文件上下文表达式，用于为文件系统上的资源分配标签。

完成的策略会被打包成 SEL